Ransomware en empresa: qué hacer en los primeros 30 minutos (sin empeorar el daño)

Si tu empresa amaneció con archivos cifrados, extensiones raras, notas de rescate o servidores “inaccesibles”, tu objetivo en los primeros 30 minutos no es “arreglarlo”: es contener, preservar evidencia, y proteger la recuperación (RTO/RPO) para que el negocio no colapse.

Esta guía está escrita para equipos de TI y gerencia: decisiones rápidas, priorizadas y medibles.

Antes de tocar nada: confirma señales típicas

Marca como “incidente crítico” si ves 1 o más:

✅Archivos con extensiones desconocidas + imposibilidad de abrir.

✅Nota de rescate en múltiples equipos/servidores.

✅Picos de CPU/IO en servidores de archivos o virtualización.

✅Alertas EDR/XDR de cifrado masivo o ejecución anómala.

✅Usuarios reportan caída general de servicios + cambios de contraseñas inexplicables.

📍 ¿Vas a implementar agentes de IA este año?

Hagamos una evaluación rápida de permisos, herramientas y compuertas antes de ponerlos en producción.

Habla con nuestro equipo

Playbook: primeros 30 minutos (paso a paso)

0–5 minutos: declarar y controlar el caos

  1. Declara incidente y nombra un “Incident Commander” (1 persona decide).
  2. Congela cambios no controlados: nadie “reinstala”, “formatea” o “apaga” por su cuenta.
  3. Define el alcance preliminar: ¿solo PCs? ¿servidores? ¿carpeta compartida? ¿ERP? ¿M365?
Qué NO hacer aquí (errores caros):
  • No reinicies servidores “para ver si vuelve”.
  • No borres archivos cifrados ni “limpies” la nota.
  • No pagues ni negocies antes de confirmar alcance y opciones reales de recuperación.

5–15 minutos: contención (detener el sangrado)

    4. Aísla endpoints sospechosos (red/EDR). Prioridad: los que muestran cifrado activo o alertas.
    5. Protege el corazón: restringe accesos a:
  • Servidor de archivos
  • Controladores de dominio (AD)
  • Virtualización (vCenter/ESXi/Hyper-V)
  • Backups (consola, repositorios, credenciales)

    6. Deshabilita accesos de alto riesgo temporalmente:

  • cuentas admin no esenciales
  • accesos remotos no críticos (VPN/RDP) hasta validar
Objetivo técnico: cortar propagación y movimiento lateral sin tumbar todo el negocio.
 
 

15–30 minutos: preservar evidencia + preparar recuperación

    7. Preserva evidencia mínima (sin “forense de película”, lo esencial):
  • lista de equipos/servidores afectados (hostname, IP, usuario)
  • hora aproximada del primer síntoma
  • capturas de pantalla de nota de rescate (si existe)
  • logs/alertas del EDR/SIEM (export básico)
    8. Verifica estado de backups (sin restaurar todavía):
  • ¿último backup “bueno” antes del incidente
  • ¿repositorios accesibles/inmutables o sospechosos?
  • RPO real (hasta qué punto puedes volver) y RTO objetivo (cuánto downtime toleras)
    9. Define estrategia inicial: contención completa vs contención por segmentos según criticidad (producción, facturación, operación).
 
Resultado medible al minuto 30:

 

  • propagación detenida o acotada
  • activos críticos protegidos
  • evidencia mínima guardada
  • plan de continuidad activado (RTO/RPO definidos)
Protocolo de rescate TI ante ransomware

Checklist rápido (copiable para WhatsApp/Teams)

Checklist rápido (copiable para WhatsApp/Teams)
 
☑ Incidente declarado + líder asignado
☑ Aislamiento de equipos sospechosos
☑ Bloqueo temporal de accesos admin no esenciales
☑ Protección de AD / virtualización / backups
☑ Lista de afectados (hostname/IP/usuario)
☑ Evidencia mínima (capturas + export de alertas)
☑ Estado de backups confirmado (RPO/RTO preliminar)

Lo que más empeora el daño (y lo vemos en rescates reales)

  1. Reimágenes masivas sin cerrar la puerta (AD/M365) → reinfección.
  2. Apagar servidores críticos indiscriminadamente → pérdida de evidencia y caos de continuidad.
  3. Restaurar “a ciegas” → vuelves a introducir el atacante.
  4. No proteger backups → el atacante los cifra o borra y te deja sin salida.
  5. Decisiones sin RTO/RPO → recuperación desordenada y más downtime.

Lo que más empeora el daño (y lo vemos en rescates reales)

¿Debo apagar los equipos infectados?

No como reacción automática. Primero aísla. Apagar puede destruir evidencia útil y no siempre detiene el problema si ya hay otros vectores activos.

 

¿Qué prioridad es más importante: servidores o PCs?

Primero activos críticos (AD, virtualización, backups, servidor de archivos). Las PCs suelen ser el “síntoma”; el daño real es perder control de identidad y recuperación.

 

¿Cómo sé si el Active Directory está comprometido?

Señales comunes: uso anómalo de cuentas privilegiadas, cambios inesperados en políticas, nuevos admins, picos de autenticaciones, herramientas de administración fuera de patrón. Requiere verificación rápida con logs/EDR.

 

¿Es buena idea pagar el rescate?

Es una decisión de negocio, legal y riesgo. Técnicamente, pagar no garantiza recuperación ni que no exista persistencia. Primero mide opciones reales (backups, alcance, tiempo, datos sensibles).

 

¿Cuándo es seguro restaurar?

Cuando tengas contención, credenciales controladas, y validación mínima de que el atacante no mantiene acceso. Restaurar sin esto suele terminar en reinfección.

¿Cómo sé si mis backups están seguros?

Solo están seguros si tienes una copia “fuera de línea” o en un repositorio inmutable que el ransomware no pueda modificar incluso si tiene credenciales de administrador.

Suscríbete a Nuestro Blog: Mantente actualizado con las últimas noticias y consejos en ciberseguridad. Suscríbete ahora.